[한국심리학신문=신용욱 ]

지난 10일 서울 한 KT 대리점. 사진=연합뉴스 

사건 개요  : 무엇이, 언제부터, 어떻게 벌어졌나

8월 말부터 KT 가입자 일부를 대상으로 본인이 결제하지 않은 상품권 등 ‘소액결제’가 연이어 발생했다. 정부와 통신사가 집계한 피해는 최소 278건, 약 1억7천만 원. 과학기술정보통신부는 9월 9일 민관합동조사단(14명)을 구성해 불법 초소형(펨토셀) 기지국 연루 가능성과 결제 인증(ARS) 절차 우회 여부를 포함해 정밀 조사에 착수했다. 

KT는 9월 11일 자체 조사 결과를 통해 국제이동가입자식별번호(IMSI) 유출 가능 고객 5,561명을 확인·신고했고, 전원 유심(SIM) 교체 지원 및 피해 금액 미청구 방침을 밝혔다. 

기술적 정황 : ‘유령(가짜) 기지국’과 ARS 인증 우회

현재까지의 분석을 종합하면, 불법 초소형 기지국(펨토셀)이 정상 기지국으로 ‘위장’해 단말기의 위치 등록 과정에서 IMSI를 포착했을 정황이 유력하다. 한편 소액결제 피해는 상품권 결제의 ARS 인증이 가로채이거나 우회되며 발생했을 가능성이 제기된다. KT는 IMSI 유출과 소액결제는 기술적으로 별개 트랙이라고 설명한다. 

피해 확산 차단을 위해 9월 5일 이후 트래픽 차단을 시행했고, 소액결제 한도를 기존 100만 원 → 10만 원으로 축소하는 등 긴급조치를 발표했다. 피해자 요금은 청구하지 않겠다는 방침도 재확인됐다. 

타임라인 한눈에 보기

8월 22일 전후: 유사 피해가 관측되기 시작(언론 분석). 

9월 4~5일: 사건 최초 보도 확산, KT 트래픽 차단 등 긴급 대응. 

9월 9일: 정부, 민관합동조사단 구성 발표. 

9월 11일: KT, IMSI 유출 가능성 5,561명 공식화·사과. 

9월 12일: 정부, 현장 점검·엄중 대응 재확인. 타 통신사에선 유사 피해 미확인. 

쟁점 : ‘늑장·축소’ 논란과 책임 커뮤니케이션

일부 보도는 경찰 통보 이후 대응 지연 의혹과 신고 시점·내용을 둘러싼 혼선을 지적한다. KT는 법정 기한 내 신고였다고 반박한다. 원인 규명 전 커뮤니케이션의 혼선은 위기 커뮤니케이션 실패로 인식되기 쉽다. 

SCCT(상황적 위기 커뮤니케이션 이론)에 따르면, 조직은 위기 책임 귀속 정도에 맞춰 부정(Deny)–완화(Diminish)–재구축(Rebuild) 전략을 적절히 매칭해야 한다. 기술적 원인이 외부 공격이라도, 감시·탐지·대응 체계 미흡이 공중에게 ‘책임성’으로 귀결되면 적극적 사과·보상·개선 약속이 요구된다. 

심리학적 분석 : ‘보안 피로’에서 ‘신뢰 회복’까지

1) 이용자: 경보에 무감각해지는 ‘보안 피로(Security Fatigue)’

경고 메시지·인증 절차가 반복되면 사람은 경계 피로에 빠져 주의·판단·억제 자원이 고갈된다. 그 결과 경보 무시, 동일 비밀번호 재사용, 무심코 통화·앱 권한 허용 같은 위험 행동이 늘어난다. 이번 사태에서 ARS 인증 우회가 의심되는 가운데, 사용자 단에서의 추가 확인이 작동하지 못했을 가능성도 크다. 보안 절차를 덜 번거롭고 더 명료하게 설계하는 ‘인간공학적 보안’이 필요하다. 

2) 대중: 정상성 편향(Normalcy Bias)과 낙관 편향

“설마 내가?”라는 정상성 편향은 위험 신호를 과소평가하게 만든다. 특히 통신망·결제망처럼 일상적이고 ‘항상 되던’ 시스템에서는 이 편향이 강하게 작동한다. 결과적으로 이상 알림 무시, 결제 알림 확인 지연 등이 발생한다. 정상 흐름을 깨뜨리는 ‘비정상 패턴 알림’의 가시화가 중요하다. 

3) 행동 변화: 보호동기이론(PMT) 관점의 설계

사람이 보호 행동을 취하려면 위협 심각성·개인 취약성 인식과 함께 대응 효능감(내가 하면 효과가 있다), 자기 효능감(나는 할 수 있다)이 높아야 한다. “앱 한 번에 소액결제 전면 차단”, “의심 결제 원클릭 신고”, “유심 교체 예약 간편 신청”처럼 효능감을 체감하는 UX·정책이 행동 변화를 견인한다. 

4) 조직: 위기 이후 신뢰 재구축의 조건

신뢰는 능력(Competence)·정직(Integrity)·선의(Benevolence)의 함수다. 이번처럼 외부 공격 + 내부 통제 미흡 의혹이 결합되면, 사실 기반의 투명 공개(타임라인·공격벡터·재발방지책), 피해 최소화 조치(한도 하향·자동 차단·요금 미청구·SIM 교체), 사후 보상과 고객 심리 회복 프로그램(상담·심리적 피해 케어 안내)가 종합 세트로 제시돼야 한다. SCCT 기준으로는 재구축(Rebuild) 전략—명시적 사과·보상·시스템 투자 공표—의 일관성이 관건이다. 

이용자 행동 가이드 : ‘심리적 안전’을 위한 6단계 체크리스트

1. 즉시 내역 점검: KT 앱/홈페이지/고객센터에서 소액결제 내역·차단 상태 확인. 이상 시 즉시 신고. 

2. 소액결제 차단/한도 최소화: 전면 차단 또는 10만 원 이하로 설정. 

3. 유심(SIM) 교체 예약: IMSI 유출 가능성 통보 시 무상 교체 지원 확인. 

4. 계정 잠금·비밀번호 교체: 통신사·포털·결제 앱 서로 다른 강력 비밀번호로 변경.

5. 이상 알림 습관화: 문자·앱 알림 즉시 확인, 모르는 번호 ARS는 끊고 재확인.

6. 심리적 스트레스 케어: 금전 피해 불안은 회피·부정을 부른다. 가시적 행동(차단 설정·신고 완료)을 먼저 끝내 통제감을 회복. 필요 시 가까운 지인·상담 창구에 상황을 공유해 정서적 지지를 확보.

정책·산업 제언 : ‘보안의 일상화’를 제도·설계로

1. 디폴트 안전(Default-Safe): 신규 회선·요금제의 소액결제 기본값은 ‘차단’으로, 이용자가 명시적으로 켜는 옵트인 전환.

2. 위험 신호 시각화: 비정상 트래픽·위치등록 실패·ARS 재시도 등 행동 지표를 고객 앱에 평가판 형식으로 시각화.

3. 공유·차단 프로토콜: 통신 3사간 의심 기지국 즉시 공유·동시 차단 표준화. 정부는 민관 합동 상시 TF로 상설화. 

4. 위기 커뮤니케이션 룰: 24시간 내 1차 브리핑(사실/불확실/다음 브리핑 시각 명시), 피해자 전용 창구·보상 가이드를 하나의 랜딩페이지에 일괄 제공(‘심리적 검색 비용’ 최소화).

결론 : 기술의 균열, 마음의 복구

이번 사태는 ‘보이지 않는 인프라’가 무너질 때 사람의 마음이 얼마나 흔들리는지를 보여줬다. 정상성 편향과 보안 피로가 일상에서 어떻게 취약성을 키우는지, 그리고 효능감 중심의 설계가 왜 중요한지 확인했다.

조직은 사실·속도·공감을 갖춘 소통으로 책임의 언어를 지켜야 한다. 이용자는 작은 습관의 방패로 스스로의 심리적 안전지대를 재건할 수 있다. 기술의 균열은 심리학적 복구 설계로 메워야 한다. 그것이 신뢰의 재시작점이다.